Créer et nommer un profil d’événement pour l’intégration Splunk Enterprise Event Ingestion
Créez un profil d’événement dans votre Now Platform instance et déterminez quelles Splunk alertes créent des incidents de sécurité.
Avant de commencer
Rôle requis : sn_si.admin
Pourquoi et quand exécuter cette tâche
Avant Now Platform Réponse aux incidents de sécurité que (SIR) les incidents de sécurité ne soient créés à partir d’alertes ingérées, les valeurs de champ des alertes sont affichées sur la mise en page d’un Now Platform incident de sécurité afin que vous puissiez prévisualiser l’affichage de l’incident de sécurité réel.
Du point de vue de l’intégration, à l’aide des API disponibles, Splunk les événements sont transférés individuellement et manuellement en tant qu’événements discrets, ou ils sont combinés dans des alertes déclenchées qui sont automatiquement ingérées dans l’environnement Security Operations de votre Now Platform instance. Les workflows d’intégration ingèrent différents types d’alertes, telles que les tentatives d’accès non autorisé et les programmes malveillants, par exemple.
Ces alertes sont ingérées en fonction des profils que vous configurez dans l’environnement Security Operations de votre instance. Toutes les alertes sont initialement ingérées pour un type d’alerte configuré dans un profil. Les alertes ingérées peuvent ensuite être filtrées davantage pour spécifier quelles alertes créent des incidents de sécurité. Par exemple, vous pouvez préférer des filtres qui créent des incidents de sécurité uniquement pour les alertes identifiées comme étant à haut risque. Avant qu’un profil ne soit activé et qu’il crée des incidents de sécurité à partir d’alertes ingérées, les valeurs de champ individuelles des alertes filtrées sont mappées aux champs correspondants sur une mise en page d’incident de sécurité pour un aperçu.
Les noms d’alerte pour les profils d’événements de votre Now Platform instance doivent être uniques et ne peuvent être mappés que sur un profil d’événement actif à un moment donné. Il s’agit des noms d’alertes déclenchées que vous avez configurés dans votre Splunk service dans le cadre de la configuration de l’intégration. Pour en savoir plus sur la configuration des alertes dans votre Splunk Enterprise environnement, reportez-vous à la section Enregistrer les recherches d’intégration Splunk Enterprise Event Ingestion dans votre Splunk Enterprise console.
Il Now Platform ingère des alertes spécifiques à l’aide des workflows de l’intégration. Toutes les alertes qui répondent aux critères de sélection de votre Splunk console d’entreprise sont initialement ingérées dans votre Now Platform instance.
Un profil dans votre Now Platform est une encapsulation d’une Splunk alerte dans votre Splunk console d’entreprise. Il existe une relation individuelle entre les alertes ingérées avec un profil et les connexions à votre Splunk console d’entreprise : une alerte pour une connexion. Il existe une seule connexion https à un en-tête de recherche dans votre Splunk Enterprise console. Plusieurs alertes peuvent provenir d’un seul en-tête de recherche. Si vous vous connectez à plusieurs têtes de recherche dans votre Splunk Enterprise console, vous devez créer plusieurs profils dans votre Now Platform instance pour ingérer ces alertes.
Étapes de création de profils pour l’ingestion d’alertes planifiée
Procédure
-
Renseignez les champs.
Le tableau ci-dessous fournit un exemple de formulaire rempli.
Champ Description Nom Nom unique du profil. Si les noms ne sont pas uniques, les noms de profil en double ne sont pas enregistrés. Les noms de profil dans votre Now Platform instance doivent être uniques.
Actif La case est décochée par défaut. L’option Actif est désactivée et n’est pas disponible à la sélection tant que vous n’avez pas terminé toutes les étapes de configuration du profil et cliqué sur Terminer.
Type Sélectionnez le type de profil dans la liste de choix. - Ingestion d’alertes planifiées : ce type de profil prend en charge les alertes déclenchées qui sont ingérées selon un calendrier que vous configurez. Renseignez les champs et cliquez sur Continuer pour passer à l’étape Sélection d’alerte du profil.
- Transfert manuel d’événements : ce type de profil prend en charge les événements individuels qui sont transférés manuellement à partir de votre Splunk Enterprise console sur demande. Consultez les étapes suivantes pour remplir le formulaire pour ces types de profils.
Type de source Splunk Fin de serveur ou de recherche que vous avez configurée pour ingérer des alertes. Si vous avez configuré plusieurs Splunk serveurs, sélectionnez le serveur approprié pour les types d’alertes que vous prévoyez d’ingérer pour le profil. Vous devez entrer une valeur. Ordre La valeur par défaut est 100. Laissez ce paramètre tel qu’il est par défaut. Si vous avez créé plusieurs profils, cette valeur fournit une priorité d’exécution lorsque deux profils ou plus partagent les mêmes conditions de déclenchement. Le workflow du profil avec le numéro le plus bas a la priorité la plus élevée.
(Facultatif) Description Texte pour vous aider à distinguer ce profil des autres profils. La figure suivante est un exemple de formulaire rempli pour une alerte planifiée.
-
Pour créer un profil qui prend en charge le transfert manuel d’événements, procédez comme suit.
Pour les événements que vous transférez à la demande à partir de votre Splunk console d’entreprise, vous pouvez baser le mappage de champs individuel sur n’importe quel profil existant. Vous pouvez également créer une nouvelle grille de mappage pour les données de pièce jointe exportées. Les événements que vous transférez manuellement ne sont pas planifiés dans le profil d’événement.
-
Dans le champ Option de mappage qui s’affiche, à partir de la liste de choix, choisissez une option de mappage pour continuer.
Consultez les figures et tableaux suivants pour en savoir plus sur les options de mappage disponibles dans la liste de choix Options de mappage.
Figure 1. Créer une option de mappage de champs Tableau 1. Créer une option de mappage de champs Option ou champ Description Créer une option de mappage de champs Nouveau mappage de champs pour votre événement. Si vous n’avez pas de mappage de champs existant similaire au profil que vous créez, sélectionnez cette option pour créer une nouvelle carte.
Profil par défaut Profil de transfert d’événements par défaut pour tous les Splunk événements. La valeur par défaut est effacée (désactivée).
Lorsque cette option est activée, ce profil devient le profil par défaut pour le transfert manuel d’événements. Ce profil est le seul profil actif et utilisé pour chaque Splunk mappage de champ d’événement à un SIR incident de sécurité. Un seul profil s’adapte à tous les événements transférés.
Le champ Source n’est pas disponible si l’option de profil par défaut est activée.
Type de source Splunk Serveur.
Ce champ n’est pas disponible si l’option de profil par défaut est activée.
Si elle est disponible, l’option Type de source permet le mappage de champs d’événements uniques aux champs d’incident de sécurité en fonction du type de Splunk source.
Si vous souhaitez gérer les événements de journal de pare-feu différemment des événements de détection de point de terminaison, et qu’ils ont différents Splunk types de sources, vous pouvez créer différents profils d’événements basés sur les types de sources pour répondre à cette exigence.
Ordre La valeur par défaut est 100. Laissez ce paramètre tel qu’il est par défaut. Si vous avez créé un grand nombre de profils, cette valeur fournit une priorité d’exécution lorsque deux profils ou plus partagent des conditions de déclenchement. Le workflow du profil avec le numéro le plus bas a la priorité la plus élevée.
(Facultatif) Description Texte pour vous aider à distinguer ce profil des autres profils. Pour un profil avec un nouveau mappage de champ, vérifiez que vous avez saisi une valeur dans le champ Type de source et cliquez sur Continuer pour passer à l’étape de mappage de la configuration.
Pour un profil avec un mappage de champ existant, reportez-vous à la figure et au tableau suivants pour plus d’informations.
Figure 2. Sélectionner un profil existant pour l’option de mappage de champs Tableau 2. Sélectionner un profil existant pour l’option de mappage de champs Option ou champ Description Sélectionner un profil existant pour le mappage de champs Un mappage de champs existant pour votre événement. Le champ Copier à partir du profil s’affiche.
Suivez ces étapes pour copier un mappage de champs existant pour ce profil.
- À gauche du champ Copier à partir du profil qui s’affiche, cliquez sur l’icône de recherche.
- Dans la liste Profils d’événements Splunk qui s’affiche, cliquez sur le nom du profil contenant la carte que vous souhaitez copier.
Le nom du profil est affiché dans le champ Copier à partir du profil.
Profil par défaut Profil de transfert d’événements par défaut pour tous les Splunk événements. La valeur par défaut est effacée (désactivée).
Lorsque cette option est activée, ce profil devient le profil par défaut pour le transfert manuel d’événements. Ce profil est le seul profil actif. Elle est utilisée pour chaque Splunk mappage de champ d’événement à un SIR incident de sécurité. Un seul profil s’adapte à tous les événements transférés.
Le champ Source n’est pas disponible si l’option de profil par défaut est activée.
Type de source Splunk Serveur.
Ce champ n’est pas disponible si l’option de profil par défaut est sélectionnée.
Si elle est disponible, l’option Type de source permet le mappage de champs d’événements uniques aux champs d’incident de sécurité en fonction du type de Splunk source.
Si vous souhaitez gérer les événements de journal de pare-feu différemment des événements de détection de point de terminaison, et qu’ils ont différents Splunk types de sources, vous pouvez créer différents profils d’événements basés sur les types de sources pour répondre à cette exigence.
Ordre La valeur par défaut est 100. Laissez ce paramètre tel qu’il est par défaut. Si vous avez créé plusieurs profils, cette valeur fournit une priorité d’exécution lorsque deux profils ou plus partagent des conditions de déclenchement. Le workflow du profil avec le numéro le plus bas a la priorité la plus élevée.
(Facultatif) Description Texte pour vous aider à distinguer ce profil des autres profils. En bas du formulaire de sélection d’un mappage existant pour votre profil, cliquez sur Terminer pour terminer la configuration du profil.
-
Dans le champ Option de mappage qui s’affiche, à partir de la liste de choix, choisissez une option de mappage pour continuer.
Que faire ensuite
Pour les profils d’alertes planifiées, l’étape suivante consiste à sélectionner les alertes à ingérer automatiquement.